CN115378625A - 一种跨网信息安全交互方法及系统 - Google Patents

一种跨网信息安全交互方法及系统 Download PDF

Info

Publication number
CN115378625A
CN115378625A CN202210425147.XA CN202210425147A CN115378625A CN 115378625 A CN115378625 A CN 115378625A CN 202210425147 A CN202210425147 A CN 202210425147A CN 115378625 A CN115378625 A CN 115378625A
Authority
CN
China
Prior art keywords
information
security
terminal
equipment
identity
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202210425147.XA
Other languages
English (en)
Other versions
CN115378625B (zh
Inventor
李广恺
刘季平
刘科栋
彭成维
薛春晖
李艺涛
贾东征
段荣昌
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
National Computer Network and Information Security Management Center
Original Assignee
National Computer Network and Information Security Management Center
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by National Computer Network and Information Security Management Center filed Critical National Computer Network and Information Security Management Center
Priority to CN202210425147.XA priority Critical patent/CN115378625B/zh
Publication of CN115378625A publication Critical patent/CN115378625A/zh
Application granted granted Critical
Publication of CN115378625B publication Critical patent/CN115378625B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/321—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority
    • H04L9/3213—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving a third party or a trusted authority using tickets or tokens, e.g. Kerberos
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
    • H04L63/0876—Network architectures or network communication protocols for network security for authentication of entities based on the identity of the terminal or configuration, e.g. MAC address, hardware or software configuration or device fingerprint
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Power Engineering (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本申请涉及一种跨网信息安全交互方法及系统，涉及网络安全技术领域，该方法包括：获取终端设备的身份认证请求；依据身份认证请求携带的认证参数信息进行身份验证，得到终端设备对应的身份认证结果；基于身份认证结果生成终端身份令牌信息，并向终端设备和网络隔离设备发送终端身份令牌信息；依据终端设备的安全评估参数信息进行安全评估处理，得到终端设备的安全评估结果；基于安全评估结果，结合控制设备的身份权限列表信息，向网络隔离设备发送动态访问控制策略，使得网络隔离设备依据动态访问控制策略执行目标业务信息对应的目标操作。可见，本申请解决了现有的信息交互技术由于无法有效防御基于网络连接的攻击所导致的数据安全问题。

Description

一种跨网信息安全交互方法及系统
技术领域
本申请涉及网络安全技术领域，尤其涉及一种跨网信息安全交互方法及系统。
背景技术
随着信息化不断发展，跨网络信息交互的场景越发常见，跨网络信息交互所引发的安全事件也频繁发生。常见的实现安全跨网信息交互的安全技术主要包括：采用防火墙实现基本的访问控制、通过网闸实现交互信息的隔离交换、采用光闸实现信息单向进单向出的安全要求、采用高安全等级网络区域进行限制要求只进不出等。
在具体实现中，现有跨网信息交互使用的网络安全隔离装置主要是以网闸、光闸等产品为主。然而，现有的网络安全隔离装置只是部署在两个进行信息交互的网络间，对交互的信息进行隔离阻断，缺乏对信息交互主体的身份鉴别能力、对数据机密性完整性防护的能力以及缺乏系统性防护手段等，同时，由于现有的网络安全隔离装置对内外侧、外网侧均开放IP/端口,网络隔离边界的暴露面过大，在受到基于连接或压力的攻击时，容易导致无法正常提供服务。可见，现有的跨网信息交互方法无法有效防御基于网络连接的攻击方式，容易遭受DDOS、TCP以及SYN等网络攻击，存在数据泄露或数据被篡改的风险。
发明内容
为了解决上述技术问题或者至少部分地解决上述技术问题，一种跨网信息安全交互方法及系统。
第一方面，本申请提供了一种跨网信息安全交互方法，其特征在于，所述方法应用于控制设备，包括：
获取终端设备的身份认证请求，所述身份认认证请求为所述终端设备依据所述控制设备发送的认证端口信息生成的认证请求；
依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果；
基于所述身份认证结果生成终端身份令牌信息，并向所述终端设备和网络隔离设备发送所述终端身份令牌信息，所述终端身份令牌信息用于建立所述终端设备和网络隔离设备之间的安全通道；
获取所述终端设备对应的安全引擎采集信息，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息；
依据所述安全评估参数信息进行安全评估处理，得到所述终端设备的安全评估结果；
基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略，所述网络隔离设备用于依据动态访问控制策略执行目标业务信息对应的目标操作，所述目标业务信息为所述终端设备通过所述安全通道发送的业务信息。
可选的，所述获取终端设备的身份认证请求之前，还包括：
在检测到终端设备的鉴权请求时，依据所述鉴权请求进行鉴权校验，得到鉴权校验结果；
当所述鉴权校验结果为鉴权校验通过结果时，向所述终端设备发送认证端口信息，所述认证端口信息为依据所述鉴权校验通过结果生成的端口信息。
可选的，所述认证参数信息包含身份认证凭证信息、设备指纹信息以及设备安全基线信息，所述依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果，包括：
若所述身份认证凭证信息符合预设的身份认证凭证验证条件，则确定所述设备指纹信息是否符合预设的设备指纹验证条件；
若所述设备指纹信息符合预设的设备指纹验证条件，则确定所述设备安全基线信息是否符合预设的设备安全基线验证条件；
若所述设备安全基线信息符合预设的设备安全基线验证条件，则生成所述终端设备对应的身份认证成功的结果，并基于所述身份认证成功结果生成终端身份令牌信息。
可选的，所述网络隔离设备为所述控制设备连接的安全隔离设备，所述基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略，包括：
若所述安全评估结果为预设的风险终端评估结果，则基于所述风险终端评估结果，从所述身份权限列表信息中提取风险终端对应的风险控制策略信息，并基于所述风险控制策略信息生成所述终端设备对应的风险控制策略，将所述风险控制策略发送给所述网络隔离设备，所述风险控制策略用于触发所述网络隔离设备断开所述安全通道；
若所述安全评估结果为安全终端评估结果，则基于所述安全终端评估结果，从所述身份权限列表信息中提取安全终端对应的安全控制策略信息，并基于所述安全控制策略信息生成所述终端设备对应的安全控制策略，将所述安全控制策略发送给所述网络隔离设备；所述网络隔离设备用于基于所述安全控制策略，通过安全通道与所述终端设备进行安全通信。
第二方面，本申请还提供了一种跨网信息安全交互方法，其特征在于，所述方法应用于终端设备，包括：
依据控制设备发送的认证端口信息，生成身份认证请求；
将所述身份认证请求发送给所述控制设备；
依据终端身份令牌信息与网络隔离设备建立安全通道，并通过所述安全通道向所述网络隔离设备发送目标业务信息，其中，所述终端身份令牌信息为所述控制设备依据所述终端设备对应的身份认证结果发送的身份令牌信息，所述身份认证结果为所述控制设备依据所述身份认证请求携带的认证参数信息生成的终端身份认证结果；
依据所述控制设备的策略配置信息，采集安全评估参数信息；
基于所述安全评估参数信息向所述控制设备发送安全引擎采集信息；
其中，所述安全引擎采集信息用于触发所述控制设备依据所述安全评估参数信息和所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略；
所述网络隔离设备用于依据动态访问控制策略执行目标业务信息对应的目标操作。
可选的，所述依据控制设备发送的认证端口信息，生成身份认证请求之前，还包括：
向所述控制设备发送鉴权请求，所述鉴权请求用于触发所述控制设备发送认证端口信息，所述认证端口信息为所述控制设备依据鉴权校验通过结果生成的端口信息，所述鉴权校验通过结果为所述控制设备依据所述鉴权请求生成的鉴权检验结果。
可选的，所述依据控制设备发送的认证端口信息，生成身份认证请求，包括：
在接收到所述认证端口信息时，获取所述终端设备对应的认证参数信息，所述认证参数信息包含身份认证凭证信息、设备指纹信息以及设备安全基线信息；
基于所述认证参数信息和所述认证端口信息，生成身份认证请求。
第三方面，本申请还提供了一种跨网信息安全交互方法，其特征在于，所述方法应用于网络隔离设备，包括：
获取控制设备发送的终端身份令牌信息；其中，所述终端身份令牌信息为所述控制设备基于终端设备对应的身份认证结果生成的令牌信息，所述身份认证结果为所述控制设备依据所述终端设备的身份认证请求生成的认证结果；
依据所述终端身份令牌信息与所述终端设备建立安全通道，并通过所述安全通道接收所述终端设备发送的目标业务信息；
接收所述控制设备发送的动态访问控制策略，其中，所述动态访问控制策略为所述控制设备基于所述终端设备的安全评估结果，结合身份权限列表信息生成的访问控制策略；所述安全评估结果为所述控制设备依据安全引擎采集信息生成的评估结果，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息；
依据所述动态访问控制策略，执行所述目标业务信息对应的目标操作。
可选的，所述所述依据所述控制设备发送的动态访问控制策略，执行所述目标业务信息对应的目标操作，包括：
若所述动态访问控制策略为风险控制策略，则针对所述目标业务信息，断开与所述终端设备的安全通道；
若所述动态访问控制策略为安全控制策略，则基于所述安全控制策略，基于安全通道转发所述目标业务信息。
第四方面，本申请提供了一种跨网信息安全交互系统，其特征在于，所述系统包括：控制设备、终端设备以及网络隔离设备；
所述终端设备，用于依据控制设备发送的认证端口信息，生成身份认证请求，并将所述身份认证请求发送给所述控制设备；
所述控制设备，用于依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果；基于所述身份认证结果生成终端身份令牌信息，并向所述终端设备和所述网络隔离设备发送所述终端身份令牌信息；获取所述终端设备对应的安全引擎采集信息，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息，依据所述安全评估参数信息进行安全评估处理，得到所述终端设备的安全评估结果；基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略；
所述网络隔离设备，用于依据所述终端身份令牌信息与所述终端设备建立安全通道，并通过所述安全通道接收所述终端设备发送的目标业务信息；接收所述控制设备发送的动态访问控制策略；以及，依据所述动态访问控制策略，执行所述目标业务信息对应的目标操作。
综上，本申请通过获取终端设备的身份认证请求，依据身份认证请求携带的认证参数信息进行多维身份验证，得到终端设备对应的身份认证结果，基于身份认证结果生成终端身份令牌信息，并向终端设备和网络隔离设备发送终端身份令牌信息，使得终端设备和网络隔离设备可以依据终端身份令牌信息建立安全通道，进行目标业务信息交互，并依据终端设备的安全评估参数信息进行安全评估处理，得到终端设备的安全评估结果，基于安全评估结果，结合控制设备的身份权限列表信息，向网络隔离设备发送动态访问控制策略，使得网络隔离设备依据动态访问控制策略执行目标业务信息对应的目标操作，采用先认证后连接的设计架构，从跨网信息交互的整个流程着手，有效防御基于网络连接的所有攻击方式，解决了现有的跨网信息交互技术由于无法有效防御基于网络连接的攻击，导致数据泄露或被篡改的问题。
附图说明
此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本申请的实施例，并与说明书一起用于解释本申请的原理。
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。
图1为一种动态网络安全隔离模型的系统示意图；
图2是本申请实施例提供的一种跨网信息安全交互方法的步骤流程示意图；
图3是本申请一个可选实施例提供的一种跨网信息安全交互方法控制设备侧的步骤流程图；
图4是本申请实施例提供的一种跨网信息交互流程示意图；
图5是本申请一个可选实施例提供的一种跨网信息安全交互方法终端设备侧的步骤流程图；
图6是本申请一个可选实施例提供的一种跨网信息安全交互方法网络隔离设备侧的步骤流程图；
图7是一种跨网信息安全交互系统的结构框图。
具体实施方式
为使本申请实施例的目的、技术方案和优点更加清楚，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本申请的一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都属于本申请保护的范围。
在跨网信息共享的场景中，进行跨网信息交互的主要包括主体设备、客体设备以及网络安全隔离装置等。主体设备是指信息交互的发起者，主要包含人员、设备、设备属性等实体的组合；客体设备是指信息交互的接收者，主要包含设备、设备属性等实体的组合；网络安全隔离装置主要以网闸、光闸等产品为主。网闸是使用带有多种控制功能的固态开关读写介质，连接两个独立主机系统的信息安全设备。由于两个独立的主机系统通过网闸进行隔离，使系统间不存在通信的物理连接、逻辑连接及信息传输协议，不存在依据协议进行的信息交换，而只有以数据文件形式进行的无协议摆渡。因此，网闸从物理上隔离、阻断了对内网具有潜在攻击可能的一切网络连接，使外部攻击者无法直接入侵、攻击或破坏内网，保障了内部主机的安全。光闸，英文简称FGAP，是一种由安全隔离网闸基础上发展而成、基于光的单向性的单向隔离软硬件系统。
传统跨网信息交互主要是将网络隔离装置部署在两个进行信息交互的网络间，如部署在主体设备和客体设备间，实现对交互信息进行隔离阻断，对于交互信息的交换和摆渡可以起到较高的安全防护，然而传统的跨网信息交互方法缺乏系统性的安全考虑。例如，攻击者可能会伪冒主体身份获取交互信息、窃取或篡改交互信息、对网络安全隔离装置发起基于网络连接的攻击导致网络安全隔离装置无法正常提供安全服务等，此外，在主体设备或客体设备已经感染风险的情况下，进行跨网信息交互，可能导致未被感染的另一方被注入恶意程序或代码，进而导致跨网数据安全事件发生，如出现信息泄露等，给人民财产造成损失。
本申请实施例从系统性安全的角度出发，针对信息交互主体身份鉴别的问题、信息交互传输安全性缺失的问题、网络隔离边界的暴露面过大的问题以及缺乏主动风险发现并动态处置的问题，提供一种可实现网络隐身的动态网络安全隔离的系统，从系统安全的角度出发，结合可能导致安全特性降低的各个环节进行综合考虑，以通过动态网络安全隔离的系统实现跨网信息的安全交互。如图1所示为一种动态网络安全隔离模型的系统示意图。具体的，本申请示例提供的动态网络安全隔离模型具体可以应用于，位于外网的主体向内网客体发起跨网信息安全交互的安全验证流程的场景，也可以应用于位于内网的主体向外网客体发起跨网信息安全交互的安全验证流程的场景。
具体而言，可以使用网络划分的方式，将图1中应用于位于外网的主体向内网客体发起跨网信息安全交互的安全验证流程的相关部分作为网络1，将应用于位于内网的主体向外网客体发起跨网信息安全交互的安全验证流程的相关部分作为网络2，其中，外主机可以是指网络安全隔离装置外主机，内主机可以是指网络安全隔离装置内主机，外主机、内主机以及专用隔离部件共同构成网络安全隔离装置。以图1中的网络1为例，端侧安全引擎(又称终端安全引擎)可以以软件的形态部署于信息交互设备上，如可以是部署于主体设备上，为接入主体提供人员认证、设备认证、密码引擎、单包鉴权以及终端信息采集与上报等，并可以提供随机启动、断线重连的功能，在服务器信息交互无人值守的场景下，为各项业务提供安全保障。信任评估引擎和动态策略控制引擎可以集成到控制平面中，在具体实现中，该控制平面可以作为控制设备，以通过控制设备接收端侧安全引擎发送的鉴权请求和身份认证信息等，相应的进行鉴权认证和身份认证，确保接入主体设备符合包括：被信任的人使用、使用注册审批的合法设备以及设备符合安全基线的要求等条件，并可以在主体设备身份认证通过时，生成主体设备对应的身份令牌，使得主体设备可以依据身份令牌向外主机发起信息交互请求，从而可以通过外主机、专用隔离部件以及内主机等将交互信息转发至客体设备；同理，对于图1中网络2部分，位于内网的主体向外网客体发起跨网信息安全交互的安全验证流程与图1相同。通常情况下，由于内网的网络安全等级更高，可以根据安全等级的要求，对安全验证流程进行适当调整。通过采用先认证后连接的设计架构，从系统性安全的角度出发，结合跨网信息交互的整个流程，实现交互信息的安全传输，有效防御基于网络连接的所有攻击方式，保证网络安全隔离装置的正常工作。
需要说明的是，系统性安全的角度主要可以包括：确保跨网信息交互流程中主客体是被信任的、主体与网络安全隔离装置之间的通道是安全的、网络安全隔离装置是安全的、跨网信息安全交互系统能实时检测主体和客体自身的安全性以及具有在主体/客体的安全风险发生变化时自动响应处置的能力等，本申请对此不做具体限制，主体设备可以包括个人计算机(Personal Computer，PC)和移动设备等，客体设备可以包括服务器和应用等，本申请对此也不做具体限制。
参照图2，示出了本申请实施例提供的一种跨网信息安全交互方法的步骤流程图。在实际处理中，本申请实施例提供的跨网信息安全交互方法可以应用于控制设备中，使得控制设备可以依据终端设备发送的身份认证请求进行身份验证，生成终端身份令牌信息，使得终端设备和网络隔离设备可以基于身份令牌信息进行跨网信息安全交互，并可以依据终端设备周期性上传的安全引擎采集信息，生成动态访问控制策略，触发网络隔离设备依据动态访问控制策略对终端设备发送的目标业务信息进行目标操作，实现先认证后连接，保证跨网信息安全交互，具体的，如图2所示，本申请提供的跨网信息安全交互方法具体可以包括如下步骤：
步骤210，获取终端设备的身份认证请求，所述身份认认证请求为所述终端设备依据所述控制设备发送的认证端口信息生成的认证请求。
其中，终端设备可以是需要进行跨网信息安全交互的主体设备。认证端口信息可以包含控制设备开放的认证端口对应的端口信息等，该认证端口可以是UDP端口等，本申请实施例对此也不做具体限制。
具体而言，在进行跨网信息安全交互时，终端设备可以依据控制设备发送的认证端口信息，确认控制设备开放的认证端口，以通过该认证端口向控制设备发送身份认证请求，使得控制设备可以接收终端设备的身份认证请求，并依据身份认证请求进行身份认证，即执行步骤220。
步骤220，依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果。
具体的，认证参数信息可以包括终端设备的身份认证凭证信息、指纹信息以及设备安全基线状态信息等，本申请实施例对此不做具体限制。
在本申请实施例中，控制设备可以预先存储终端设备对应的身份认证凭证信息、指纹信息等，以作为基准身份信息。控制设备可以依据接收到的认证参数信息对终端设备进行身份认证，如可以将认证参数信息包含的身份认证凭证信息、指纹信息以及设备安全基线状态信息等，与预先存储的基准身份信息进行比对，得到比对结果，并可以依据比对结果，确定身份认证结果，从而实现多维身份认证。如可以在认证参数信息与预先存储的基准身份信息一致的情况下，生成该终端设备对应的身份认证成功的结果；在认证参数信息与预先存储的基准身份信息不一致的情况下，生成该终端设备对应的身份认证失败的结果。
在实际处理中，若身份认证结果为身份认证失败结果，则控制设备可以确定当前终端设备可能存在安全风险，即终端设备可能存在伪冒接入的情况，出于安全考虑，控制设备可以不依据身份认证结果生成终端身份令牌，终端设备也无法依据终端身份令牌向网络隔离设备发起跨网信息交互，从而可以极大限度的减免伪冒接入、接入主体设备自身等风险带来的信息泄露的可能性。若身份认证结果为身份认证成功结果，则控制设备可以生成终端设备对应的终端身份令牌信息，并发送给终端设备和网络隔离设备，即执行步骤230。
步骤230，基于所述身份认证结果生成终端身份令牌信息，并向所述终端设备和网络隔离设备发送所述终端身份令牌信息，所述终端身份令牌信息用于建立所述终端设备和网络隔离设备之间的安全通道。
具体的，网络隔离设备可以是与控制设备连接的安全隔离设备，具体可以包括网闸和光闸等，本申请实施例对此不作限制。终端身份令牌信息可以包含令牌(token)信息等，控制设备生成终端身份令牌信息后，可以分别向终端设备和网络隔离设备发送终端身份令牌信息，网络隔离设备接收到终端身份令牌信息后，可以依据终端身份令牌信息，打开对应的监听端口；终端设备接收到终端身份令牌信息后，可以依据终端身份令牌信息，通过网络隔离设备开启的监听端口，向网络隔离设备发起安全隧道协商，网络隔离设备在接收到终端设备发送的终端身份令牌信息后，可以将终端设备发送的终端身份令牌信息与控制设备发送的终端身份令牌信息进行比对，在比对成功的情况下，确定终端设备为可信赖设备，随后可以与终端设备建立安全通道。
步骤240，获取所述终端设备对应的安全引擎采集信息，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息。
具体的，安全引擎可以是终端安全引擎，控制设备可以获取策略配置，该策略配置可以是预先设置的，也可以是控制设备随机生成的，本申请对此不作限制。具体而言，可以将该策略配置作为策略配置信息，发送给终端设备，使得安全引擎可以依据接收到的策略配置信息包含的策略配置，确定需要采集的安全评估数据，并可以结合预设的采集周期，周期性采集当前终端设备的安全评估数据，以作为安全评估参数信息，从而可以依据安全评估参数信息生成安全引擎采集信息并发送至控制设备。需要说明的是，安全评估参数信息可以包含终端运行状态信息、安全基线信息等，本申请实施例对此不做具体限制。
步骤250，依据所述安全评估参数信息进行安全评估处理，得到所述终端设备的安全评估结果。
具体的，控制设备可以依据预设的信任评估智能分析算法，对采集到的安全评估参数信息进行安全评估处理，得到终端设备的安全评估结果。例如，控制设备可以对采集到的安全评估参数信息进行评估打分处理，生成评估分数，并可以基于评估分数生成当前终端设备对应的信任度，以作为安全评估结果。，从而可以实时研判终端设备是否处于一个相对安全的状态，或确定当前终端是否具有访问高安全等级的业务的权限等。
步骤260，基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略。
其中，所述网络隔离设备用于依据动态访问控制策略执行目标业务信息对应的目标操作，所述目标业务信息为所述终端设备通过所述安全通道发送的业务信息。
具体的，身份权限列表信息可以包含终端设备对应的权限等，业务信息可以包含终端设备需要与客体设备进行交互的信息，如可以包括数据报文等。
在本申请实施例中，控制设备可以基于安全评估结果，结合身份权限列表信息，确定当前终端设备对应的访问控制策略。例如，当前终端设备的安全评估结果为终端设备存在风险，则控制设备可以结合身份权限列表信息，生成动态访问控制策略，并可以向网络隔离设备发送动态访问控制策略，网络隔离设备在接收到动态访问控制策略后，可以依据动态访问控制策略，断开与终端设备连接的安全通道，并拒绝转发终端设备发送的目标业务信息，以保证自身安全；又如，在当前终端设备的安全评估结果为终端设备安全，但无权限访问高安全等级的业务时，控制设备可以结合身份权限列表信息，生成动态访问控制策略，并可以向网络隔离设备发送动态访问控制策略，网络隔离设备在接收到动态访问控制策略后，可以依据动态访问控制策略，保持与终端设备连接的安全通道，在接收到终端设备发送的访问高安全等级的服务器的目标业务信息时，可以拒绝转发终端设备发送的目标业务信息，在接收到终端设备发送的访问一般安全等级的服务器的目标业务信息时，可以正常转发终端设备发送的目标业务信息，从而实现基于终端设备的风险变化执行动态访问控制策略，变被动防御为主动防御，有效地消弭风险于未发。
可见，本申请实施例通过获取终端设备的身份认证请求，依据身份认证请求携带的认证参数信息进行多维身份验证，得到终端设备对应的身份认证结果，基于身份认证结果生成终端身份令牌信息，并向终端设备和网络隔离设备发送终端身份令牌信息，使得终端设备和网络隔离设备可以依据终端身份令牌信息建立安全通道，进行目标业务信息交互，并依据终端设备的安全评估参数信息进行安全评估处理，得到终端设备的安全评估结果，基于安全评估结果，结合控制设备的身份权限列表信息，向网络隔离设备发送动态访问控制策略，使得网络隔离设备依据动态访问控制策略执行目标业务信息对应的目标操作，通过采用先认证后连接的设计架构，从系统安全角度和跨网信息交互的整个流程着手，有效防御基于网络连接的所有攻击方式，解决了现有的跨网信息交互技术由于无法有效防御基于网络连接的攻击，导致数据泄露或被篡改的问题。
参照图3，示出了本申请一个可选实施例提供的一种跨网信息安全交互方法控制设备侧的步骤流程图，具体可以包括如下步骤：
步骤310，获取终端设备的身份认证请求，所述身份认认证请求为所述终端设备依据所述控制设备发送的认证端口信息生成的认证请求。
在具体实现中，为保证接入的终端设备是可信赖的，控制设备在向终端设备发送认证端口信息，开放认证端口之前，还可以对终端设备进行鉴权校验。可选的，在上述实施例的基础上，本申请实施例在获取终端设备的身份认证请求之前，还包括：在检测到终端设备的鉴权请求时，依据所述鉴权请求进行鉴权校验，得到鉴权校验结果；当所述鉴权校验结果为鉴权校验通过结果时，向所述终端设备发送认证端口信息，所述认证端口信息为依据所述鉴权校验通过结果生成的端口信息。
具体而言，控制设备可以预先开放一个单向无连接端口，当终端设备需要进行跨网信息安全交互时，可以通过终端安全引擎按照固定的单包鉴权格式生成对应的单向鉴权报文，该单向鉴权报文可以包括终端设备的版本号信息、令牌信息、种子信息、密码信息以及计数值信息等，并可以将该单向鉴权报文作为鉴权请求，通过单向无连接端口发送给控制设备，控制设备接收到该鉴权请求后，可以对鉴权请求包含的令牌信息、种子信息以及密码信息等进行校验，得到鉴权校验结果，并可以在鉴权校验结果为鉴权校验通过结果时，开放对应的认证端口，并可以将该认证端口对应的端口信息作为认证端口信息发送给终端设备，终端设备接收到认证端口信息后，依据认证端口信息向控制设备发送身份认证请求，使得控制设备可以依据身份认证请求进行身份验证，得到身份认证结果，进而可以根据身份认证结果确定终端设备是否为可信赖设备，避免终端设备身份数据泄露的情况下，攻击者通过伪冒身份接入的问题，采用通过先认证后连接的方法，结合单包鉴权的无连接验证机制，实现未经认证的终端设备无法连接网络安全隔离边界，起到将网络安全隔离装置进行网络隐身的作用，仅对授权的终端设备动态开放网络，有效收敛网络安全隔离安全边界暴露面，避免遭受基于DDOS、TCP、SYN等网络攻击，或其他无效连接尝试，保证网络安全隔离装置的安全性，使得网络安全隔离装置能一直处于正常工作状态。
步骤320，依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果。
在本申请一个可选实施例中，在认证参数信息包含身份认证凭证信息、设备指纹信息以及设备安全基线信息的情况下，所述依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果，具体可以包括：若所述身份认证凭证信息符合预设的身份认证凭证验证条件，则确定所述设备指纹信息是否符合预设的设备指纹验证条件；若所述设备指纹信息符合预设的设备指纹验证条件，则确定所述设备安全基线信息是否符合预设的设备安全基线验证条件；若所述设备安全基线信息符合预设的设备安全基线验证条件，则生成所述终端设备对应的身份认证成功的结果，并基于所述身份认证成功结果生成终端身份令牌信息。具体而言，身份认证凭证信息可以包括国家商密数字证书；设备指纹信息是指用于唯一标识出该设备的设备特征或者独特的设备标识，如可以是MAC地址或终端设备注册时系统分配的标识序列号等；设备安全基线信息可以包含终端设备当前防火墙信息、已安装的软件信息以及用户密码信息等。可以在身份认证凭证信息符合预设的身份认证凭证验证条件、设备指纹信息符合预设的设备指纹验证条件以及设备安全基线信息符合预设的设备安全基线验证条件的情况下，生成终端设备对应的身份认证成功的结果，并可以在该身份认证成功的结果的情况下，生成终端设备对应的终端身份令牌信息，通过多维身份认证技术，结合基于角色的权限控制(Role-based Access Control，RABC)和基于属性的权限验证控制(Attribute-based Access Control，ABAC)的验证方法，实现多维身份的融合绑定，可以极大限度的减免伪冒接入、接入主体自身的风险等带来的信息泄露的可能性。
在一个可选实施方式中，控制设备可以内置鉴权模块和认证模块，鉴权模块可以用于接收终端设备发送的鉴权请求进行鉴权，认证模块可以用于接收终端设备发送的身份认证请求进行身份认证等。
例如，图4为本申请实施例提供的一种跨网信息交互流程示意图，具体的，控制设备可以包含控制平面，网络安全隔离装置可以包括网络安全隔离装置外主机、网络安全隔离内主机以及专用隔离部件。当位于外网侧的主体设备需要与位于内网侧的客体设备进行信息交互时，终端安全引擎可以向控制平面中的鉴权模块发送鉴权请求，控制平面可以在鉴权请求通过时，主体设备发送认证端口信息，并开放对应的认证端口，终端安全引擎接收到认证端口信息后，可以通过认证端口向控制平面中的认证模块发送身份认证请求，并可以通过认证模块对身份认证请求进行身份认证，生成终端设备对应的主体令牌，该主体令牌可以是终端身份令牌信息，随后控制设备可以将该主体令牌同步至主体设备和网络安全隔离装置外主机，以便后续处理中，终端设备可以依据主体令牌向网络安全隔离装置外主机发起安全隧道协商，建立安全通道等；同理当位于内网侧的主体设备需要与位于外网侧的客体设备进行信息交互时，也可以按照上述流程进行鉴权和身份认证等。
步骤330，基于所述身份认证结果生成终端身份令牌信息，并向所述终端设备和网络隔离设备发送所述终端身份令牌信息，所述终端身份令牌信息用于建立所述终端设备和网络隔离设备之间的安全通道。
在具体实现中，控制设备生成终端身份令牌信息后，还可以依据终端身份令牌信息，确定终端设备对应的权限列表和网络隔离设备的访问地址等，并可以将终端身份令牌信息和权限列表发送给网络隔离设备，将终端身份令牌信息、权限列表和访问地址等发送给终端设备，触发终端设备向网络隔离设备发起安全隧道协商，建立安全通道。具体而言，权限列表可以用于确定终端设备的访问权限，如可以用于确定终端设备是否具有访问高安全等级服务器的权限等。网络隔离设备可以依据接收到的终端身份令牌信息，开放对应的监听端口。终端设备可以通过访问地址确定网络隔离设备开放的IP/监听端口等，并基于权限列表和终端身份令牌信息，通过监听端口向网络隔离设备发起安全隧道协商，网络隔离设备基于终端设备发送的终端身份令牌信息和控制设备发送的终端身份令牌信息进行比对，确认无误后，与终端设备建立安全通道。
在实际处理中，终端设备与网络隔离设备建立安全通道后，可以通过安全通道发起跨网信息交互，网络隔离设备可以对接收到的交互信息等进行协议剥离、过滤等操作，并转发至客体设备，实现跨网信息安全交互。
例如，参照图4，控制平面生成主体令牌后，可以确定主体设备的权限列表和可访问地址等，将主体令牌同步至主体设备和网络安全隔离装置外主机，触发网络安全隔离装置外主机开放对应的监听端口，并可以将权限列表和可访问地址同步至主体设备，使得主体设备可以基于访问地址确定网络安全装置外主机开放的IP/监听端口等，并基于权限列表和终端身份令牌信息，与网络安全隔离装置建立安全通道，以通过安全通道进行跨网信息安全交互，交互信息经由安全隔离装置进行协议剥离、过滤等操作后，转发至内网侧目标，即客体设备；同理位于内网侧的主体设备在鉴权、身份认证通过后，也可以依据控制平面发送的主体令牌，与网络安全隔离装置内主机建立安全通道，并通过安全通道进行跨网信息交互等。
进一步而言，网络隔离设备还可以依据控制设备发送的权限列表，确定终端设备的访问权限，以根据访问权限对终端设备进行限制操作。例如，在终端设备没有与高安全等级的服务器进行信息交互的权限的情况下，终端设备在与高安全等级的服务器进行跨网信息安全交互时，网络隔离设备可以依据权限列表，禁止终端设备的交互请求，如可以是不对终端设备发送的交互信息进行转发，默认丢弃该交互信息，以保证内网服务器的安全。
步骤340，获取所述终端设备对应的安全引擎采集信息，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息。
步骤350，依据所述安全评估参数信息进行安全评估处理，得到所述终端设备的安全评估结果。
在具体实现中，参照图4，控制设备可以集成动态策略控制引擎和信任评估引擎，通过动态策略控制引擎将策略配置信息下发至主体设备，周期性采集主体设备上报的数据，作为安全评估参数信息。信任评估引擎可以采用信任评估智能分析算法，对接收到的安全评估参数信息进行信任评估打分，得到当前主体设备对应的评估分数，从而可以基于信任评估分数结果生成安全评估结果，随后信任评估引擎可以和动态策略控制引擎联动，将安全评估结果作为评估数据发送给动态策略控制引擎，动态策略控制引擎可以结合认证、鉴权等模块，生成基于当前安全评估结果的动态访问控制策略，并发下至本侧的网络安全隔离装置主机测，如可以下发至网络安全隔离装置外主机，由网络安全隔离装置外主机对主体设备执行对应的安全策略；同理控制设备也可以周期性采集内网侧的主体设备的安全评估参数信息进行安全评估，并基于安全评估结果生成动态访问控制策略，下发至网络安全隔离装置内主机，由网络安全隔离装置内主机对主体设备执行对应的安全策略，实现基于风险变化执行动态访问控制策略，变被动防御为主动防御，有效地消弭风险于未发。
步骤360，若所述安全评估结果为预设的风险终端评估结果，则基于所述风险终端评估结果，从所述身份权限列表信息中提取风险终端对应的风险控制策略信息，并基于所述风险控制策略信息生成所述终端设备对应的风险控制策略，将所述风险控制策略发送给所述网络隔离设备。
其中，所述风险控制策略用于触发所述网络隔离设备断开所述安全通道。
步骤370，若所述安全评估结果为安全终端评估结果，则基于所述安全终端评估结果，从所述身份权限列表信息中提取安全终端对应的安全控制策略信息，并基于所述安全控制策略信息生成所述终端设备对应的安全控制策略，将所述安全控制策略发送给所述网络隔离设备。
其中，所述网络隔离设备用于基于所述安全控制策略，通过安全通道与所述终端设备进行安全通信。
在具体实现中，动态策略控制引擎可以在安全评估结果为终端设备存在安全风险的情况下，确定安全评估结果为预设的风险终端评估结果，并可以从身份权限列表信息中提取风险终端对应的风险控制策略信息，并基于风险控制策略信息生成终端设备对应的风险控制策略，如该风险控制策略可以是断开与终端设备建立的安全通道，丢弃终端设备发送的交互信息，随后控制设备可以将该风险控制策略发送给网络隔离设备，触发网络隔离设备执行对应的安全策略；动态策略控制引擎可以在安全评估结果为终端设备安全的情况下，确定安全评估结果为预设的安全终端评估结果，并可以从身份权限列表信息中提取安全终端对应的安全控制策略信息，并基于安全控制策略信息生成终端设备对应的安全控制策略，如该安全控制策略可以是维持与终端设备建立的安全通道，接收并转发终端设备发送的交互信息，随后控制设备可以将该安全控制策略发送给网络隔离设备，触发网络隔离设备执行对应的安全策略。
综上，本申请实施例通过获取终端设备的鉴权请求，依据鉴权请求进行鉴权校验，得到鉴权校验结果，以在鉴权校验结果为鉴权校验通过结果时，向终端设备发送认证端口信息，接收终端设备发送的身份认证请求，依据身份认证请求携带的认证参数信息进行多维身份验证，得到终端设备对应的身份认证结果，基于身份认证结果生成终端身份令牌信息，并向终端设备和网络隔离设备发送终端身份令牌信息，依据终端设备的安全评估参数信息进行安全评估处理，得到终端设备的安全评估结果，基于安全评估结果，结合控制设备的身份权限列表信息，向网络隔离设备发送动态访问控制策略，使得网络隔离设备依据动态访问控制策略执行目标业务信息对应的目标操作，通过采用先认证后连接的设计架构，从跨网信息交互的整个流程着手，有效防御基于网络连接的所有攻击方式，解决了现有的跨网信息交互技术由于无法有效防御基于网络连接的攻击，导致数据泄露或被篡改的问题。
参照图5，示出了本申请一个可选实施例提供的一种跨网信息安全交互方法终端设备侧的步骤流程图，具体可以包括如下步骤：
步骤510，依据控制设备发送的认证端口信息，生成身份认证请求。
在本申请的一个可选实施例中，上述依据控制设备发送的认证端口信息，生成身份认证请求之前，具体还可以包括：向所述控制设备发送鉴权请求，所述鉴权请求用于触发所述控制设备发送认证端口信息，所述认证端口信息为所述控制设备依据鉴权校验通过结果生成的端口信息，所述鉴权校验通过结果为所述控制设备依据所述鉴权请求生成的鉴权检验结果。具体而言，控制设备可以通过终端安全引擎发起与控制设备的单包鉴权，如可以通过控制设备开放的单向无连接端口以固定的单包鉴权格式向控制设备发送鉴权请求，使得控制设备可以依据鉴权请求进行鉴权校验，以在鉴权校验通过时，接收控制设备发送的认证端口信息，从而可以依据认证端口信息，确认当前鉴权已经通过，进而可以生成身份认证请求。
可选地，所述依据控制设备发送的认证端口信息，生成身份认证请求，具体可以包括：在接收到所述认证端口信息时，获取所述终端设备对应的认证参数信息，所述认证参数信息包含身份认证凭证信息、设备指纹信息以及设备安全基线信息；基于所述认证参数信息和所述认证端口信息，生成身份认证请求。具体而言，在接收到控制设备发送的认证端口信息后，可以确定当前鉴权校验已经通过，可以获取身份认证凭证信息、设备指纹信息以及设备安全基线信息等，以作为认证参数信息，并可以结合认证端口信息和认证参数信息，生成身份认证请求。
步骤520，将所述身份认证请求发送给所述控制设备。
具体的，可以依据认证端口信息确定控制设备开放的认证端口，并可以通过该认证端口将身份认证请求发送给控制设备。
步骤530，依据终端身份令牌信息与网络隔离设备建立安全通道，并通过所述安全通道向所述网络隔离设备发送目标业务信息。
其中，所述终端身份令牌信息为所述控制设备依据所述终端设备对应的身份认证结果发送的身份令牌信息，所述身份认证结果为所述控制设备依据所述身份认证请求携带的认证参数信息生成的终端身份认证结果。
具体的，终端设备可以依据终端身份令牌信息，向网络隔离设备发起安全隧道协商，并可以在协商通过后与网络隔离设备建立安全通道。
在一个可选实施方式中，终端设备还可以接收控制设备发送的身份权限信息和可访问地址信息，确定网络隔离设备对应的IP地址/监听端口等，从而可以通过IP地址/监听端口等，依据终端身份令牌信息，向网络隔离设备发起安全隧道协商，并可以在建立安全通道后，通过安全通道向网络隔离设备发送目标业务信息。
在一个可选实施方式中，终端安全引擎可以通过国密算法引擎对鉴权请求、身份认证请求以及目标业务信息等进行加密，实现对交互信息的机密性、完整性的保护，进而实现交互信息的传输安全防护目标。
步骤540，依据所述控制设备的策略配置信息，采集安全评估参数信息。
具体的，终端设备可以接收控制设备发送的策略配置信息，根据策略配置信息包含的策略配置，确定需要采集的安全评估数据，从而可以结合预设的采集周期，周期性采集安全评估数据，以作为安全评估参数信息。需要说明的是，安全评估参数信息可以包括终端运行状态信息和安全基线信息等，本申请实施例对此不作限制。
步骤550，基于所述安全评估参数信息向所述控制设备发送安全引擎采集信息。
其中，所述安全引擎采集信息用于触发所述控制设备依据所述安全评估参数信息和所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略；所述网络隔离设备用于依据动态访问控制策略执行目标业务信息对应的目标操作。
综上，本申请实施例依据控制设备发送的认证端口信息，生成身份认证请求，将身份认证请求发送给控制设备，依据终端身份令牌信息与网络隔离设备建立安全通道，并通过安全通道向网络隔离设备发送目标业务信息，依据控制设备的策略配置信息，采集安全评估参数信息，基于安全评估参数信息向控制设备发送安全引擎采集信息，使得控制设备可以依据安全引擎采集信息和身份权限列表信息，向网络隔离设备发送动态访问控制策略，触发网络隔离设备依据动态访问控制策略执行目标业务信息对应的目标操作，解决了现有的跨网信息交互技术由于无法有效防御基于网络连接的攻击，导致数据泄露或被篡改的问题，有效保证跨网信息交互的安全。
参照图6，示出了本申请一个可选实施例提供的一种跨网信息安全交互方法网络隔离设备侧的步骤流程图，具体可以包括如下步骤：
步骤610，获取控制设备发送的终端身份令牌信息。
其中，所述终端身份令牌信息为所述控制设备基于终端设备对应的身份认证结果生成的令牌信息，所述身份认证结果为所述控制设备依据所述终端设备的身份认证请求生成的认证结果。
在具体实现中，网络隔离设备可以默认对外网络隐身，即可以将自身的默认网络关闭，以防止基于连接或压力的攻击。为保证可信任的终端设备可以进行跨网信息交互，网络隔离设备可以与控制设备联动，如可以与控制设备连接，联动接收控制设备发送终端令牌和/或动态访问控制策略，从而依据终端令牌和/或动态访问控制策略动态开放网络。
步骤620，依据所述终端身份令牌信息与所述终端设备建立安全通道，并通过所述安全通道接收所述终端设备发送的目标业务信息。
具体的，可以在控制设备发送的终端身份令牌信息与终端设备发送的终端身份令牌信息相同的情况下，响应终端设备发起的安全隧道协商，与终端设备建立安全通道，从而可以通过安全通道接收终端设备发送的目标业务信息，并可以对目标业务信息进行协议剥离、过滤等操作，转发至客体设备。
步骤630，接收所述控制设备发送的动态访问控制策略。
其中，所述动态访问控制策略为所述控制设备基于所述终端设备的安全评估结果，结合身份权限列表信息生成的访问控制策略；所述安全评估结果为所述控制设备依据安全引擎采集信息生成的评估结果，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息。
步骤640，依据所述动态访问控制策略，执行所述目标业务信息对应的目标操作。
具体的，网络隔离设备可以接收控制设备发送的动态访问控制策略，依据动态访问控制策略，确定目标操作，并可以对目标业务信息执行目标操作，该目标操作可以是诸如断开与终端设备建立的安全通道、转发终端设备发送的目标业务信息以及拒绝转发终端设备发送的目标业务信息等，本申请实施例对此不做具体限制。
在本申请一个可选实施例中，所述依据所述动态访问控制策略，执行所述目标业务信息对应的目标操作，具体可以包括一下子步骤：
子步骤6401，若所述动态访问控制策略为风险控制策略，则针对所述目标业务信息，断开与所述终端设备的安全通道。
子步骤6402，若所述动态访问控制策略为安全控制策略，则基于所述安全控制策略，基于所述安全通道转发所述目标业务信息。
综上，本申请实施例通过获取控制设备发送的终端身份令牌信息，依据终端身份令牌信息与终端设备建立安全通道，并通过安全通道接收所述终端设备发送的目标业务信息，接收控制设备发送的动态访问控制策略，依据动态访问控制策略，执行目标业务信息对应的目标操作，有效解决了基于压力或连接的网络攻击行为，保证网络隔离设备能正常工作，使得交互信息能安全传输，解决了现有的跨网信息交互技术由于无法有效防御基于网络连接的攻击，导致数据泄露或被篡改的问题。
需要说明的是，对于方法实施例，为了简单描述，故将其都表述为一系列的动作组合，但是本领域技术人员应该知悉，本申请实施例并不受所描述的动作顺序的限制，因为依据本申请实施例，某些步骤可以采用其他顺序或者同时进行。
在具体实现中，可以利用本申请实施例提供的跨网信息安全交互方法实现一个跨网信息安全交互系统，使得该跨网信息安全交互系统可以基于获取到的终端设备的鉴权请求、身份认证请求等，进行鉴权、认证，从而可以在鉴权、认证通过的情况下，建立终端设备与网络隔离设备之间的安全通道，实现跨网信息安全交互，即基于先认证后连接的设计架构，实现了一个跨网信息安全交互系统，从而解决了现有的信息交互技术由于无法有效防御基于网络连接的攻击所导致的数据安全问题，避免数据泄露或被篡改的情形，确保数据安全。
进一步而言，如图7所示，本申请实施例提供了一种跨网信息安全交互系统700，包括：控制设备710、终端设备720以及网络隔离设备730；
所述终端设备710，用于依据控制设备发送的认证端口信息，生成身份认证请求，并将所述身份认证请求发送给所述控制设备；
所述控制设备720，用于依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果；基于所述身份认证结果生成终端身份令牌信息，并向所述终端设备和所述网络隔离设备发送所述终端身份令牌信息；获取所述终端设备对应的安全引擎采集信息，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息，依据所述安全评估参数信息进行安全评估处理，得到所述终端设备的安全评估结果；基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略；
所述网络隔离设备730，用于依据所述终端身份令牌信息与所述终端设备建立安全通道，并通过所述安全通道接收所述终端设备发送的目标业务信息；接收所述控制设备发送的动态访问控制策略；以及，依据所述动态访问控制策略，执行所述目标业务信息对应的目标操作。
需要说明的是，本申请实施例提供的跨网信息安全交互系统可执行本申请任意实施例所提供的跨网信息安全交互方法，具备执行方法相应的功能和有益效果。
本申请实施例还提供了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现如前述任意一个方法实施例提供的跨网信息安全交互方法的步骤。
需要说明的是，在本文中，诸如“第一”和“第二”等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上所述仅是本申请的具体实施方式，使本领域技术人员能够理解或实现本申请。对这些实施例的多种修改对本领域的技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所申请的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种跨网信息安全交互方法，其特征在于，所述方法应用于控制设备，包括：
获取终端设备的身份认证请求，所述身份认认证请求为所述终端设备依据所述控制设备发送的认证端口信息生成的认证请求；
依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果；
基于所述身份认证结果生成终端身份令牌信息，并向所述终端设备和网络隔离设备发送所述终端身份令牌信息，所述终端身份令牌信息用于建立所述终端设备和网络隔离设备之间的安全通道；
获取所述终端设备对应的安全引擎采集信息，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息；
依据所述安全评估参数信息进行安全评估处理，得到所述终端设备的安全评估结果；
基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略，所述网络隔离设备用于依据动态访问控制策略执行目标业务信息对应的目标操作，所述目标业务信息为所述终端设备通过所述安全通道发送的业务信息。
2.根据权利要求1所述的方法，其特征在于，所述获取终端设备的身份认证请求之前，还包括：
在检测到终端设备的鉴权请求时，依据所述鉴权请求进行鉴权校验，得到鉴权校验结果；
当所述鉴权校验结果为鉴权校验通过结果时，向所述终端设备发送认证端口信息，所述认证端口信息为依据所述鉴权校验通过结果生成的端口信息。
3.根据权利要求2所述的方法，其特征在于，所述认证参数信息包含身份认证凭证信息、设备指纹信息以及设备安全基线信息，所述依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果，包括：
若所述身份认证凭证信息符合预设的身份认证凭证验证条件，则确定所述设备指纹信息是否符合预设的设备指纹验证条件；
若所述设备指纹信息符合预设的设备指纹验证条件，则确定所述设备安全基线信息是否符合预设的设备安全基线验证条件；
若所述设备安全基线信息符合预设的设备安全基线验证条件，则生成所述终端设备对应的身份认证成功的结果，并基于所述身份认证成功结果生成终端身份令牌信息。
4.根据权利要求1所述的方法，其特征在于，所述网络隔离设备为所述控制设备连接的安全隔离设备，所述基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略，包括：
若所述安全评估结果为预设的风险终端评估结果，则基于所述风险终端评估结果，从所述身份权限列表信息中提取风险终端对应的风险控制策略信息，并基于所述风险控制策略信息生成所述终端设备对应的风险控制策略，将所述风险控制策略发送给所述网络隔离设备，所述风险控制策略用于触发所述网络隔离设备断开所述安全通道；
若所述安全评估结果为安全终端评估结果，则基于所述安全终端评估结果，从所述身份权限列表信息中提取安全终端对应的安全控制策略信息，并基于所述安全控制策略信息生成所述终端设备对应的安全控制策略，将所述安全控制策略发送给所述网络隔离设备；所述网络隔离设备用于基于所述安全控制策略，通过安全通道与所述终端设备进行安全通信。
5.一种跨网信息安全交互方法，其特征在于，所述方法应用于终端设备，包括：
依据控制设备发送的认证端口信息，生成身份认证请求；
将所述身份认证请求发送给所述控制设备；
依据终端身份令牌信息与网络隔离设备建立安全通道，并通过所述安全通道向所述网络隔离设备发送目标业务信息，其中，所述终端身份令牌信息为所述控制设备依据所述终端设备对应的身份认证结果发送的身份令牌信息，所述身份认证结果为所述控制设备依据所述身份认证请求携带的认证参数信息生成的终端身份认证结果；
依据所述控制设备的策略配置信息，采集安全评估参数信息；
基于所述安全评估参数信息向所述控制设备发送安全引擎采集信息；
其中，所述安全引擎采集信息用于触发所述控制设备依据所述安全评估参数信息和所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略；
所述网络隔离设备用于依据动态访问控制策略执行目标业务信息对应的目标操作。
6.根据权利要求5所述的方法，其特征在于，所述依据控制设备发送的认证端口信息，生成身份认证请求之前，还包括：
向所述控制设备发送鉴权请求，所述鉴权请求用于触发所述控制设备发送认证端口信息，所述认证端口信息为所述控制设备依据鉴权校验通过结果生成的端口信息，所述鉴权校验通过结果为所述控制设备依据所述鉴权请求生成的鉴权检验结果。
7.根据权利要求6所述的方法，其特征在于，所述依据控制设备发送的认证端口信息，生成身份认证请求，包括：
在接收到所述认证端口信息时，获取所述终端设备对应的认证参数信息，所述认证参数信息包含身份认证凭证信息、设备指纹信息以及设备安全基线信息；
基于所述认证参数信息和所述认证端口信息，生成身份认证请求。
8.一种跨网信息安全交互方法，其特征在于，所述方法应用于网络隔离设备，包括：
获取控制设备发送的终端身份令牌信息；其中，所述终端身份令牌信息为所述控制设备基于终端设备对应的身份认证结果生成的令牌信息，所述身份认证结果为所述控制设备依据所述终端设备的身份认证请求生成的认证结果；
依据所述终端身份令牌信息与所述终端设备建立安全通道，并通过所述安全通道接收所述终端设备发送的目标业务信息；
接收所述控制设备发送的动态访问控制策略，其中，所述动态访问控制策略为所述控制设备基于所述终端设备的安全评估结果，结合身份权限列表信息生成的访问控制策略；所述安全评估结果为所述控制设备依据安全引擎采集信息生成的评估结果，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息；
依据所述动态访问控制策略，执行所述目标业务信息对应的目标操作。
9.根据权利要求8所述的方法，其特征在于，所述依据所述控制设备发送的动态访问控制策略，执行所述目标业务信息对应的目标操作，包括：
若所述动态访问控制策略为风险控制策略，则针对所述目标业务信息，断开与所述终端设备的安全通道；
若所述动态访问控制策略为安全控制策略，则基于所述安全控制策略，基于安全通道转发所述目标业务信息。
10.一种跨网信息安全交互系统，其特征在于，所述系统包括：控制设备、终端设备以及网络隔离设备；
所述终端设备，用于依据控制设备发送的认证端口信息，生成身份认证请求，并将所述身份认证请求发送给所述控制设备；
所述控制设备，用于依据所述身份认证请求携带的认证参数信息进行身份验证，得到所述终端设备对应的身份认证结果；基于所述身份认证结果生成终端身份令牌信息，并向所述终端设备和所述网络隔离设备发送所述终端身份令牌信息；获取所述终端设备对应的安全引擎采集信息，所述安全引擎采集信息包含依据所述控制设备的策略配置信息采集到的所述终端设备的安全评估参数信息，依据所述安全评估参数信息进行安全评估处理，得到所述终端设备的安全评估结果；基于所述安全评估结果，结合所述控制设备的身份权限列表信息，向所述网络隔离设备发送动态访问控制策略；
所述网络隔离设备，用于依据所述终端身份令牌信息与所述终端设备建立安全通道，并通过所述安全通道接收所述终端设备发送的目标业务信息；接收所述控制设备发送的动态访问控制策略；以及，依据所述动态访问控制策略，执行所述目标业务信息对应的目标操作。
CN202210425147.XA 2022-04-21 2022-04-21 一种跨网信息安全交互方法及系统 Active CN115378625B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202210425147.XA CN115378625B (zh) 2022-04-21 2022-04-21 一种跨网信息安全交互方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202210425147.XA CN115378625B (zh) 2022-04-21 2022-04-21 一种跨网信息安全交互方法及系统

Publications (2)

Publication Number Publication Date
CN115378625A true CN115378625A (zh) 2022-11-22
CN115378625B CN115378625B (zh) 2024-03-08

Family

ID=84060856

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202210425147.XA Active CN115378625B (zh) 2022-04-21 2022-04-21 一种跨网信息安全交互方法及系统

Country Status (1)

Country Link
CN (1) CN115378625B (zh)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116055121A (zh) * 2022-12-21 2023-05-02 广州辰创科技发展有限公司 一种跨网数据同步控制方法、系统及存储介质
CN117113312A (zh) * 2023-10-19 2023-11-24 江西省教育评估监测研究院 一种基于身份基础数据库的身份管理方法及系统
CN117852015A (zh) * 2024-03-04 2024-04-09 南京国云电力有限公司 信息安全防护方法及防护系统
CN117852015B (zh) * 2024-03-04 2024-06-04 南京国云电力有限公司 信息安全防护方法及防护系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210250333A1 (en) * 2016-05-18 2021-08-12 Zscaler, Inc. Private application access with browser isolation
CN113596009A (zh) * 2021-07-23 2021-11-02 中国联合网络通信集团有限公司 零信任访问方法、系统、零信任安全代理、终端及介质
CN113949573A (zh) * 2021-10-18 2022-01-18 天翼数字生活科技有限公司 一种零信任的业务访问控制系统及方法
CN114021109A (zh) * 2021-11-03 2022-02-08 云南昆船设计研究院有限公司 一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法
CN114302402A (zh) * 2021-12-24 2022-04-08 国网福建省电力有限公司 一种基于5g的电力调控业务安全通信方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20210250333A1 (en) * 2016-05-18 2021-08-12 Zscaler, Inc. Private application access with browser isolation
CN113596009A (zh) * 2021-07-23 2021-11-02 中国联合网络通信集团有限公司 零信任访问方法、系统、零信任安全代理、终端及介质
CN113949573A (zh) * 2021-10-18 2022-01-18 天翼数字生活科技有限公司 一种零信任的业务访问控制系统及方法
CN114021109A (zh) * 2021-11-03 2022-02-08 云南昆船设计研究院有限公司 一种用于实现烟草行业车间级工控系统身份认证与访问管理的系统与方法
CN114302402A (zh) * 2021-12-24 2022-04-08 国网福建省电力有限公司 一种基于5g的电力调控业务安全通信方法

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116055121A (zh) * 2022-12-21 2023-05-02 广州辰创科技发展有限公司 一种跨网数据同步控制方法、系统及存储介质
CN116055121B (zh) * 2022-12-21 2023-11-14 广州辰创科技发展有限公司 一种跨网数据同步控制方法、系统及存储介质
CN117113312A (zh) * 2023-10-19 2023-11-24 江西省教育评估监测研究院 一种基于身份基础数据库的身份管理方法及系统
CN117113312B (zh) * 2023-10-19 2024-01-16 江西省教育评估监测研究院 一种基于身份基础数据库的身份管理方法及系统
CN117852015A (zh) * 2024-03-04 2024-04-09 南京国云电力有限公司 信息安全防护方法及防护系统
CN117852015B (zh) * 2024-03-04 2024-06-04 南京国云电力有限公司 信息安全防护方法及防护系统

Also Published As

Publication number Publication date
CN115378625B (zh) 2024-03-08

Similar Documents

Publication Publication Date Title
CN107222433B (zh) 一种基于sdn网络路径的访问控制方法及系统
US8413248B2 (en) Method for secure single-packet remote authorization
CN108809970B (zh) 一种智能家居安全网关的安全防护方法
US20070294759A1 (en) Wireless network control and protection system
CN101378395B (zh) 一种防止拒绝访问攻击的方法及装置
CN100464548C (zh) 一种阻断蠕虫攻击的系统和方法
CN115378625B (zh) 一种跨网信息安全交互方法及系统
Chao-Yang DOS attack analysis and study of new measures to prevent
CN114598540B (zh) 访问控制系统、方法、装置及存储介质
Chouhan et al. Security attacks on cloud computing with possible solution
CN110830446B (zh) 一种spa安全验证的方法和装置
CN110391988B (zh) 网络流量控制方法、系统及安全防护装置
Kumar et al. DDOS prevention in IoT
Wang et al. Attack and defence of ethereum remote apis
CN111988289B (zh) Epa工业控制网络安全测试系统及方法
WO2015174100A1 (ja) パケット転送装置、パケット転送システム及びパケット転送方法
CN101764788B (zh) 基于扩展802.1x认证系统的安全接入方法
CN111405548B (zh) 一种钓鱼wifi的检测方法及装置
KR100856918B1 (ko) ＩＰｖ6 기반 네트워크상에서의 ＩＰ 주소 인증 방법 및ＩＰｖ6 기반 네트워크 시스템
WO2023125712A1 (zh) 单包授权的状态检测方法、终端设备及存储介质
KR100737518B1 (ko) 종단 무결성 접속제어, 및 검역기반 네트워크 구축 방법
JP6488001B2 (ja) コンピュータ・ネットワーク・インフラストラクチャにおける外部コンピュータシステムのブロック解除方法、そのようなコンピュータ・ネットワーク・インフラストラクチャを有する分散コンピュータネットワーク、およびコンピュータプログラム製品
RU2163745C2 (ru) Система защиты виртуального канала корпоративной сети с аутентифицирующим маршрутизатором, построенной на каналах и средствах коммутации сети связи общего пользования
RU2163744C2 (ru) Система защиты виртуального канала корпоративной сети с фиксальным контролем доступа к информации, построенной на каналах и средствах коммутации сети связи общего пользования
Nasser et al. An Effective Approach to Detect and Prevent ARP Spoofing Attacks on WLAN

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant